Always On VPN-ը LAN հասանելիություն չէ. ռեսուրսների ստուգաթերթ

Always On-ը միացման կյանքի ցիկլ է. պրոֆիլը միանում է մուտքագրման պահին կամ դրանից առաջ և վերամիանում առանց օգտատիրոջ որևէ սեղմումի։ Դա չի նշանակում, որ թույլատրված են բոլոր մասնավոր նպատակակետերը, արձանագրությունները և օգտատերերը։ Գործնական հարցն այն է, թե տեղակայված պրոֆիլը իրականում ինչ ռեսուրսներ է հասցնում, և այդ պատասխանը պահանջում է ստուգում յուրաքանչյուր ռեսուրսի համար, ոչ թե հայացք Connected նշանին։

Քայլ 1. Գրի առեք ռեսուրսը նախքան ստուգելը

Սկսեք մեկ կարճ գրառումով յուրաքանչյուր հավելվածի համար՝ վերցված իրական միջավայրից. անվանում, նպատակակետի նախածանց, ծառայություն և պորտ, թունելի դերը, ինքնության խումբ և լուծիչի ուղի։

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

Գրառումը պարտադրում է չորս առանձին հարց։ Երթուղին որոշում է, թե ուր է գնում հասցեն. DNS քաղաքականությունը որոշում է, թե ինչպես է հաճախորդը իմանում հասցեն. երթևեկության զտիչը որոշում է, թե արդյոք այդ երթևեկությունը կարող է օգտվել միացումից. նպատակակետի firewall-ը և հավելվածի թույլտվությունները որոշում են, թե արդյոք հարցումը կընդունվի։ Այս չորսից ոչ մեկը չի բխում միացված թունելից։

Քայլ 2. Որոշեք, թե որ թունելը պետք է կրի այն

Windows Always On VPN-ն ունի սարքի թունել և օգտատիրոջ թունել, որոնք կազմաձևվում են որպես առանձին պրոֆիլներ՝ առանձին սերտիֆիկատներով և շրջանակներով։ Սարքի թունելը սովորաբար կրում է միայն մուտքից առաջ անհրաժեշտ ենթակառուցվածքը, օրինակ՝ կառավարումը և դոմենի ծառայությունները. աշխատակիցների լայն հավելվածային հասանելիությունը պատկանում է օգտատիրոջ թունելին։

Երթևեկության զտիչները սարքի թունելի հատկանիշ են, դրա համար էլ Microsoft-ի օրինակը դրանք օգտագործում է կառավարման երթևեկության համար։ Այդ օրինակը ընդհանուր ռեսուրսային պրոֆիլ պատճենելը տալիս է թունել, որը միանում է, բայց կրում է սխալ հավաքածու։ Հաստատեք ակտիվ միացումը Get-VpnConnection-ով և ստուգեք հենց այդ միացման ներքո։

Քայլ 3. Ստուգեք երթուղին իրական հասցեի համար

Լուծեք անունը մեկ անգամ, ապա ստուգեք երթուղին. Find-NetRoute -RemoteIPAddress 10.20.5.10-ը ցույց է տալիս ընտրված ինտերֆեյսը, հաջորդ ցատկը և աղբյուրի հասցեն։ Եթե ինտերֆեյսը ֆիզիկական ադապտերն է, նախածանցը բացակայում է թունելի երթուղիների հավաքածուում, կամ հաճախորդը բացառել է այն բաժանված թունելով։ Համեմատեք պրոֆիլի սահմանման հետ՝ տեղական երթուղի ավելացնելու փոխարեն։

Տեղական route add-ը կարող է թեստը հաջողացնել և անհետանալ հաջորդ քաղաքականության թարմացման ժամանակ, ուստի փոփոխությունը պատկանում է կառավարվող պրոֆիլին։ Ստուգեք նախածանցը և՛ օգտատիրոջ, և՛ սարքի պրոֆիլում, և ստուգեք բաժանված թունելի կարգավորումը. ամբողջական թունելին նախածանցով երթուղի պետք չէ, բաժանվածին՝ մեկը յուրաքանչյուր մասնավոր նախածանցի համար։

Քայլ 4. Առանձին ստուգեք մասնավոր անունների լուծումը

Մասնավոր անուններն ունեն իրենց քաղաքականության ուղին։ Պրոֆիլը կարող է տրամադրել NRPT կանոններ և DNS վերջածանցի որոնման ցանկ, որոնք գործում են քանի դեռ թունելը միացված է։ Կարդացեք Get-DnsClientNrptPolicy-ով, թե ինչ է իրականում ստացել հաճախորդը, ապա նույն նստաշրջանում ստուգեք անուն և հասցե։ Եթե անունները ձախողվում են, մինչ հասցեները աշխատում են, խնդիրը լուծիչում է. եթե երկուսն էլ, ապա երթուղում։

Անունը կարող է լուծվել նաև թունելի երթուղիներից դուրս գտնվող հասցեի, ինչը խառնում է հաջողությունը ժամկետի սպառման հետ։ Համեմատեք վերադարձված հասցեն ձեր գրառման նախածանցի հետ. եթե տարբերվում են, մասնավոր գոտին պատասխանում է հանրային կամ այլընտրանքային հասցեով, և համընկած երթուղին նախագծվածը չէ։

Քայլ 5. Ստուգեք զտիչները, ինքնությունը և հավելվածի սեփական դարպասը

Երթևեկության զտիչները սահմանափակում են, թե որ արձանագրություններն ու պորտերը կարող են օգտագործել սարքի թունելը, և նեղ հավաքածուն կարող է արգելափակել ռեսուրս, որը երթուղին կկրեր։ Պրոֆիլը միացումը հանձնարարում է խմբի, բայց ռեսուրսն ունի իր լիազորությունը. միանալ կարող օգտատերը ինքնաբերաբար չի ընդունվում ֆայլային սերվերի կողմից։

Փոխեք կառավարվող պրոֆիլը դրա սեփականատիրոջ միջոցով՝ լինի Intune, ProfileXML տեղակայում, թե գործառնական սկրիպտ, ապա նորից ստուգեք սովորական վերամիացումից և վերագործարկումից հետո. սովորական ձախողումը հնացած տեղական երթուղին է կամ մեկ անգամ կիրառված պրոֆիլը։ Պահեք պրոֆիլի տարբերակը թեստի արդյունքի կողքին։